如何使用公开RSA密钥创建JKS格式truststore信任库

核心前提说明 #

你当前生成的pubreq.pem是证书签名请求（CSR）文件，并非可直接导入JKS的格式。JKS信任库的可信条目要求以X.509证书作为公钥载体，不需要第三方CA签发的正式证书，仅需生成一个临时自签证书作为公钥的包装壳即可，完全满足你「不使用正式证书、仅用公私钥处理OIDC加密ID令牌」的需求，实际令牌校验/解密时只会用到证书内的公钥，不会触发额外的证书链校验逻辑。

操作步骤 #

• 从现有CSR文件中提取纯公钥备份

openssl req -in pubreq.pem -pubkey -noout > public_key.pem

• 用已有的私钥对CSR签名，生成临时自签证书（有效期设为10年，仅作公钥载体使用）

openssl x509 -req -in pubreq.pem -key key.pem -out temp_cert.crt -days 3650 -subj "/CN=OIDCTrustedKey"

• 用JDK自带的keytool工具将临时证书导入为JKS信任库

keytool -import -alias oidc_id_token_enc_key -file temp_cert.crt -keystore oidc_truststore.jks -storepass <替换为你自己设置的信任库密码>

执行命令后出现信任确认提示时，输入yes回车即可完成导入。

结果验证 #

执行以下命令查看JKS内的条目，能看到对应alias的trustedCertEntry记录即为创建成功：

keytool -list -keystore oidc_truststore.jks -storepass <替换为你之前设置的信任库密码>

注意事项 #

• 不要尝试直接将裸公钥导入JKS，keytool原生不支持裸公钥作为可信条目存储，必须通过X.509证书作为载体，上述生成的临时自签证书不会改变你原有公私钥的校验逻辑。
• 信任库创建完成后，临时生成的temp_cert.crt文件可直接删除，公钥信息已经持久化存储在JKS文件中。
• 你之前生成的encryptedprivatekeytest.p12可直接作为私钥密钥库使用，若需要统一为JKS格式，可通过keytool的-importkeystore命令做格式转换，不影响信任库的正常使用。

内容的提问来源于stack exchange，提问作者SpringBootDev